顺丰速运某分站点HTTP头部注入下载

来源:黑吧安全网 浏览:709次 时间:2014-06-12
做网站找雨过天晴工作室

有两种方法能写出没有错误的程序;但只有第三种好用。
一处头部的的使用导致了本次漏洞的产生。

出事站点:

vosuat.sf-express.com

URL:

http://vosuat.sf-express.com/index.php?m=content&c=index&a=lists&catid=6

其中代码加入了对User-Agent的使用了

但是这处是不包含在程序员的过滤之中的。

因此导致了这次的问题。

 

列了一下数据量。

修复方案:

过滤一切来自客户端的数据